🇰🇷 한글 설명
parisneo/lollms-webui에서 제어되지 않는 리소스 소비로 인해 서비스 거부(DoS) 공격이 발생할 수 있습니다. 인증 없이 특정 엔드포인트에 반복적인 HTTP POST 요청을 보내 Visual Studio Code나 기본 폴더 탐색기를 무수히 실행시켜 시스템 리소스를 고갈시키고 호스트 머신을 사용 불가능하게 만듭니다.
💡 쉬운 설명
해커가 특수한 요청을 계속 보내 컴퓨터에 프로그램(VS Code 등)을 수천 개씩 강제로 실행시키는 공격입니다. 이로 인해 컴퓨터가 느려지거나 멈춰서 아무것도 할 수 없게 됩니다.
🇺🇸 원문 (English)
parisneo/lollms-webui is vulnerable to a denial of service (DoS) attack due to uncontrolled resource consumption. Attackers can exploit the `/open_code_in_vs_code` and similar endpoints without authentication by sending repeated HTTP POST requests, leading to the opening of Visual Studio Code or the default folder opener (e.g., File Explorer, xdg-open) multiple times. This can render the host machine unusable by exhausting system resources. The vulnerability is present in the latest version of the software.
📍 영향받는 시스템
parisneo/lollms-webui 최신 버전 포함 해당 소프트웨어 사용 환경
⚔️ 공격 벡터
인증되지 않은 사용자가 /open_code_in_vs_code 등의 엔드포인트에 반복적인 HTTP POST 요청 전송
🛡️ 대응 방법
해당 엔드포인트에 대한 인증 메커니즘을 도입하거나, 요청 횟수를 제한하는 Rate Limiting 설정을 적용해야 합니다.
🔧 검증 코드
현재 설치된 lollms-webui의 소스 코드 버전을 확인하여 취약점이 해결된 패치 버전인지 대조합니다.
git clone https://github.com/parisneo/lollms-webui.git && cd lollms-webui && git rev-parse HEAD